javascript - PHP 加密 - JS 解密。安全问题

Question

我有很多网站需要调用外部服务器来请求一些数据。该服务器包含一些敏感信息，例如需要根据用户的行为在网站上应用的折扣代码。

由于我无法对用户的操作执行同步 ajax 调用(已弃用且不好的做法)，因此每次用户在这些网站上加载页面时我都会异步执行它。该电话检索所有可能的折扣代码，但我希望人们无法解码并免费获得它们。服务器创建一个 json 数组并将其编码为 base64，然后用户浏览器中的 JS 将对其进行解码(atob() 函数)，给出我需要使用的 json。

我想对此应用加密，例如字母交换算法或其他算法。这意味着即使用户读取了我的 json 结果也无法读取它，但当我的 JS 代码尝试解码它时他可以读取它(使用调试器暂停)。

所以我的问题是:javascript 混淆可以解决我的问题吗？我的 JS 将包含将字符串恢复为原始形式的算法，但整个代码被混淆，因此调试器将无法工作。这是处理此事的安全方法吗？如果没有，我怎样才能安全地做到这一点？

总结一下，系统的工作原理是这样的:

1.用户在网站中加载页面

2.JSONP AJAX 调用从我的服务器询问所有可用的折扣代码

3.服务器获取列表，将其生成 JSON 并返回该 json 的 Base64 字符串

4.客户得到这个，当他点击特定的东西时，我解码 json 并根据计算应用正确的折扣。

我希望你能给出一些建议:)

谢谢!

Answer 1

如果您在客户端计算机上进行解密，则无法确保其安全。您可以应用混淆或其他隐藏进程的方法，但最终代码中会有一个点进行解密，并且可供客户端使用。您不应该在客户端执行此操作。

你也许可以这样做:

1. 网站加载
2. 它会发送促销代码请求以及用户详细信息。
3. 您仅发送该用户可用的数据。

通过这种方式，你不需要加密任何东西，但它会涉及到对服务器端逻辑的一些重新思考和更改。

也许还有另一种解决方案，这是很hacky的，并且还需要更改服务器。按照您已经发送的方式发送代码，但发送时不完整。也许删除最后 2 位或更多数字。然后用户请求激活促销，并发送不完整的代码。然后，您查看以“%”开头的表代码，并在服务器端创建工作代码。